WordPressで作ったコーポレートサイトや採用サイトは、ログイン画面やプラグインの場所が広く知られているため、脆弱性を自動で探すプログラムに日常的に調べられています。一方で、「セキュリティ用のプラグインを入れたから大丈夫」「ログイン画面のURLを変えたから安全」と、一部の対策だけで止まっているサイトも少なくありません。
WordPressのセキュリティ対策は、更新・ログインの保護・バックアップの3つを最優先にし、そのうえでWAFや改ざん検知を重ね、社内でできる確認と専門家に任せる作業を分けて続けることが基本です。
この記事では、優先度つきのチェックリストと各項目のやり方、社内でできる項目と専門家に任せる項目の分け方、点検の頻度を、WordPressの公式ドキュメントと脆弱性の公開統計にもとづいて整理します。攻撃の種類や被害に気づいたときの対応はWebサイトのセキュリティ対策で、更新の手順はWordPressを更新しないとどうなるかで解説しています。
WordPressサイトが狙われる理由：数字で見る脆弱性の現状
WordPressの脆弱性の大半はプラグインとテーマにあり、公表から数時間で攻撃が始まるものもあるため、「更新すること」と「プラグインを入れすぎないこと」が対策の土台になります。
WordPressの脆弱性情報を扱うPatchstack社の2026年版の報告書から、発注者・担当者が押さえておきたい数字をまとめます。
| 項目（2025年のデータ） | 数字 | 対策への意味 |
|---|
| 新たに見つかった脆弱性 | 11,334件（前年比42％増） | 放置するほど、既知の脆弱性を抱える可能性が高まる |
| 脆弱性が見つかった場所 | プラグイン91％、テーマ9％、本体は6件 | プラグインの数と管理が最大の論点 |
| 公表の時点で修正版がなかった脆弱性 | 46％ | 更新だけでは防げない場合があり、削除・置き換え・WAFが必要 |
| 悪用の多い脆弱性で、公表から最初の攻撃までの時間 | 加重中央値で5時間 | 手動で月1回更新するだけでは間に合わないことがある |
| 有料プラグイン・テーマの悪用確認済みの脆弱性 | 無料の約3倍 | 有料なら安全とは言えない |
| ホスティング会社の一般的な防御で防げた攻撃 | 12％〜26％（同社の検証） | サーバーの標準機能だけに頼らない |
同じ報告書では、2025年に最も多く狙われた脆弱性10件のうち6件が2024年以前に公表された古いものでした。更新されていないサイトは、何年も前の脆弱性でも狙われ続けます。また、2025年に多かった改ざんの手口として、検索エンジンにはスパムの内容を見せ、訪問者は詐欺サイトなどへ転送し、管理者やセキュリティの検査には通常のページを見せるものが挙げられており、改ざんされても管理者が気づきにくいのが実情です。
WordPress本体も例外ではありません。IPA（情報処理推進機構）は2026年7月、WordPress 6.9.0〜6.9.4と7.0.0〜7.0.1に、管理者権限なしで外部からプログラムを実行されるおそれのある脆弱性があるとして注意喚起を出しました。修正版は6.9.5と7.0.2で、WordPress.orgは自動更新による強制更新を有効にしましたが、環境によっては自動更新が効かない場合もあるため、ダッシュボードで実際のバージョンを確認するよう呼びかけています。
優先度つきWordPressセキュリティ対策チェックリスト
まず優先度「高」の5項目を早めに済ませ、次に「中」の項目を数か月以内に整え、「状況に応じて」の項目はサイトの使い方に合わせて判断します。
| 優先度 | 項目 | やること | 担当の目安 |
|---|
| 高 | 1. 本体・プラグイン・テーマの更新 | 本体のセキュリティ更新は自動のままにし、プラグインとテーマは月2回以上を目安に更新する | 確認は社内、検証つきの更新は専門家 |
| 高 | 2. 管理者アカウントの見直し | 「admin」など推測しやすいユーザー名をやめ、退職者や契約が終わった外部業者のアカウントを削除し、管理者の数を絞る | 社内 |
| 高 | 3. 強いパスワードと二要素認証 | 使い回しのない長いパスワードにし、管理者と編集者に二要素認証を設定する | 社内（導入は専門家） |
| 高 | 4. 不要なプラグイン・テーマの削除 | 停止中のものも削除し、開発が止まったものは置き換える | 判断は専門家と相談 |
| 高 | 5. バックアップと復元テスト | ファイルとデータベースを、サーバーとは別の場所に複数世代保存し、復元を試す | 専門家 |
| 中 | 6. ログイン試行の制限 | 失敗が続いた接続元を一時的に止め、ログイン画面にCAPTCHAを追加する | 専門家 |
| 中 | 7. WAFの利用 | サーバー会社のWAFやクラウド型のWAFを有効にする | 専門家 |
| 中 | 8. 改ざん検知とファイル編集の停止 | ファイルの変更を通知する仕組みを入れ、管理画面からのファイル編集を無効にする | 専門家 |
| 中 | 9. 権限の最小化 | 更新担当者には管理者ではなく「編集者」などの権限を与え、アプリケーションパスワードも棚卸しする | 社内 |
| 中 | 10. SSL（常時https） | 全ページがhttpsで表示され、証明書が自動で更新されているかを確かめる | 社内（確認） |
| 中 | 11. フォームのスパム対策 | CAPTCHAなどで自動送信を防ぎ、自動返信メールの内容を見直す | 専門家 |
| 状況に応じて | 12. XML-RPC・REST APIの扱い | 使っていなければXML-RPCを無効にし、REST APIは止めずに公開する情報を絞る | 専門家 |
| 状況に応じて | 13. ログイン画面のURL変更 | 攻撃の数を減らす補助的な対策として行う | 専門家 |
| 継続 | 14. ログと通知の確認 | ログイン履歴、更新履歴、Search Consoleの警告を定期的に見る | 社内と専門家 |
Service
運用保守・集客改善のご相談はフェニックスデザインへナレッジベースを運営するフェニックスデザインが、今のサイトの数字を見るところから対応します。URLを入れるだけの無料簡易診断から。
優先度「高」の対策のやり方
優先度「高」の5項目は、どれか1つでも欠けると他の対策の効果が大きく下がるため、最初にそろえます。
1. 本体・プラグイン・テーマの更新
WordPress本体のセキュリティ更新（7.1.2から7.1.3のような更新）は、初期設定で自動更新されます。制作時に自動更新が止められていないかを確認し、プラグインとテーマは月2回以上を目安に更新します。重大な脆弱性が公表されたときは、定期の更新日を待たずに対応します。サイトを動かすPHPも更新の対象です。PHPのサポート期限と切り替えの手順は、記事末尾の関連記事で解説しています。
2・3. 管理者アカウント、パスワード、二要素認証
WordPressの公式ドキュメントの総当たり攻撃への対策では、ユーザー名に「admin」を使わないこと、管理者の数を絞って日常の作業は権限の小さいアカウントで行うこと、すべての管理者に二要素認証を設定することが挙げられています。WordPress本体には二要素認証の機能がないため、プラグインや外部の認証サービスで追加します。WordPress.orgが公開している「Two Factor」プラグインのほか、指紋や顔認証でログインするパスキーに対応したプラグインもあります。
4. 不要なプラグイン・テーマの削除
停止しているプラグインも、ファイルがサーバーに残っていれば攻撃の入口になりえます。使っていないものは削除し、最終更新が長く止まっているものは、同じ機能を持つ別のプラグインへの置き換えを検討します。有料のプラグインやテーマは、ライセンスが切れると更新を受け取れない製品が多いため、更新期限も管理します。
5. バックアップと復元テスト
WordPressのセキュリティ強化の公式ドキュメントでは、本体のファイルとデータベースを含むサイト全体を、定期的に信頼できる場所へ保存する方法が紹介されています。たとえば毎週保存していれば、5月1日に侵入され12日に気づいた場合でも、侵入前の状態に戻せ、侵入後のバックアップは原因の調査に使えます。バックアップは同じサーバーの中だけに置かず、年に1回以上は実際に復元できるかを試します。
優先度「中」の対策のやり方
優先度「中」の対策は、攻撃を入口で減らし、侵入されたときに早く気づくためのもので、サーバーの設定を伴うものが多いため専門家と進めます。
6・7. ログイン試行の制限とWAF
前述の公式ドキュメントは、ログインの試行回数の制限を、WordPressのプラグインよりもWAFやCDN、Webサーバーの段階で行うことを勧めています。プラグインによる制限もPHPの上で動くため、大量の攻撃を受けるとサーバーの負荷になるからです。多くのレンタルサーバーには、管理画面から有効にできるWAFがあります。ただし前述の報告書のとおり、一般的な防御で防げる攻撃は一部なので、WAFは更新や削除の代わりではなく、修正版が出るまでの時間を補う役割と考えます。
8. 改ざん検知と管理画面からのファイル編集の停止
WordPressは初期設定で、管理画面からテーマやプラグインのPHPファイルを編集できます。公式ドキュメントは、不正にログインされた場合に最初に使われやすい機能だとして、設定ファイル（wp-config.php）に「DISALLOW_FILE_EDIT」を設定して無効にする方法を示しています。あわせて、ファイルの追加や変更を検知して通知する仕組みを入れると、改ざんに早く気づけます。
9. 権限の最小化
お知らせや採用情報を更新するだけの担当者には「編集者」や「投稿者」の権限で十分です。外部サービスとの連携に使う「アプリケーションパスワード」（WordPress 5.6以降）は、通常のパスワードを変えずに個別に取り消せるので、使わなくなったものは削除します。
10. SSL（常時https）
ログイン情報やフォームの入力内容を守るため、全ページをhttpsで表示します。証明書が自動で更新される設定になっているか、http のURLからhttpsへ転送されるかを確かめます。設定の流れはhttpをhttpsにする方法で解説しています。
11. 問い合わせフォームのスパム対策
エックスサーバーのマニュアルでは、フォームに無関係な第三者のメールアドレスと宣伝文を入力し、自動返信の機能を使って迷惑メールを送らせる攻撃が紹介されています。送信元のサーバーの評判が下がると、通常のメールまで届かなくなるおそれがあります。対策として、reCAPTCHAなどで機械的な送信を防ぐこと、必要に応じて自動返信を止めることが挙げられています。自動返信を残す場合は、入力された本文をそのまま返信に含めない設定にすると、悪用されたときの影響を小さくできます。
14. ログと通知の確認（継続）
前述のセキュリティ強化の公式ドキュメントでは、ログは何が起きたかを知るための重要な手がかりで、接続元と時刻、総当たり攻撃の試みなどを確認できると説明されています。サーバーのアクセスログは保存期間が決まっていることが多いため、どこに何日分残るかを確かめておきます。管理画面での操作（ログイン、プラグインの追加、ユーザーの作成）を記録するプラグインを使うと、知らない操作に気づきやすくなります。
状況に応じて判断する対策
XML-RPCやREST API、ログイン画面のURL変更は、サイトの使い方によって最適な設定が変わるため、効果と影響を確かめてから判断します。
- XML-RPC：公式ドキュメントでは総当たり攻撃の標的になりやすいとされ、使っていなければ無効に、スマートフォンアプリや一部の連携サービスで使う場合は、WAFで制限したうえで試行回数を絞るよう勧めています
- REST API：投稿の編集画面（ブロックエディター）など、WordPressの標準機能が使っているため、まるごと止めると管理画面が動かなくなります。止めるのではなく、ユーザー名など公開しなくてよい情報を出さない設定にします
- ログイン画面のURL変更：公式ドキュメントでは、攻撃の数を減らす効果はあるが、それだけに頼るべきではないとされています。パスワードと二要素認証を整えたうえでの補助的な対策です
- セキュリティ用のプラグイン：機能が重なる複数のプラグインを同時に入れると、競合して動作が不安定になることがあります。何をどのプラグインで担うかを決めて、必要な数に絞ります
社内でできること・専門家に任せること
アカウントの管理と定期的な確認は社内で、サーバーの設定、更新の検証、復旧は専門家に任せる、という分け方が現実的です。
| 区分 | 主な作業 | 理由 |
|---|
| 社内でできること | アカウントの棚卸し、二要素認証の利用、更新通知とSearch Consoleの確認、問い合わせフォームのテスト送信、ドメインとSSLの期限の把握 | 社員の入退社や業務の変化を知っているのは社内だけで、確認作業には専門知識がいらない |
| 専門家に任せること | テスト環境での更新の検証、WAF・ログイン制限・改ざん検知の設定、バックアップの設計と復元テスト、プラグインの置き換え、改ざん時の調査と復旧 | 設定を誤るとサイトが止まり、原因の切り分けにサーバーとPHPの知識が必要 |
点検の頻度の目安は次のとおりです。
- 毎月：更新の適用状況、管理者アカウントの一覧、Search Consoleの「セキュリティの問題」、フォームのテスト送信
- 3か月ごと：プラグインの棚卸し（使っていないもの・開発が止まったもの）、WAFやログイン制限の記録の確認
- 年1回：バックアップからの復元テスト、権限とアプリケーションパスワードの見直し、PHPのサポート期限の確認
- すぐに：IPAやWordPress.orgが重大な脆弱性を公表したとき、退職者や委託先の変更があったとき
保守を外部に任せる場合は、これらのうちどこまでが月額の範囲かを契約前に一覧で確かめます。月額の内訳と含まれないことが多い作業はWordPress保守の外注費用で整理しています。
よくあるご質問
セキュリティ用のプラグインを入れておけば十分ですか？
十分ではありません。プラグインはログイン制限や改ざん検知などを手軽に追加できますが、更新していないプラグインの脆弱性や、使い回しのパスワード、バックアップがない状態は補えません。チェックリストの優先度「高」の項目を先に整えたうえで使います。
無料のプラグインより、有料のプラグインのほうが安全ですか？
一概には言えません。前述の報告書では、悪用が確認された脆弱性は有料のプラグイン・テーマのほうが多いという結果でした。有料か無料かよりも、開発が続いているか、更新が定期的に出ているか、ライセンスが切れていないかで判断します。
小さな会社のサイトで、ここまでの対策が必要ですか？
必要です。攻撃の多くは、会社の規模ではなく、古いプラグインや弱いパスワードがあるかどうかを自動で探して行われます。会社の規模よりも、問い合わせフォームや採用応募など、サイトが担っている役割の大きさで対策の深さを決めます。
改ざんされたかもしれないときは、どうすればよいですか？
まず記録を残し、管理画面・サーバー・データベースなどのパスワードを安全な端末から変更し、保守を任せている会社やサーバー会社に連絡します。初動の手順と公的な相談先は、冒頭で紹介した「Webサイトのセキュリティ対策」の記事にまとめています。
まとめ
WordPressの脆弱性の大半はプラグインとテーマにあり、公表から数時間で攻撃が始まるものもあります。対策は、更新、管理者アカウントと二要素認証、不要なプラグインの削除、バックアップと復元テストの「高」の項目を最初にそろえ、ログイン試行の制限、WAF、改ざん検知、権限の最小化、SSL、フォームの対策を重ねます。アカウントの管理と定期的な確認は社内で、サーバーの設定や更新の検証、復旧は専門家に任せると、無理なく続けられます。
当社のWEBサイト運用保守では、保守ライト（月2万円〜・税別）でWordPress本体・プラグインの更新、バックアップ、稼働監視（停止・改ざんの検知）を、保守スタンダード（月3万円〜・税別）でログイン保護・改ざん検知・WAFの設定とフォームの月次動作確認を行っています。他社で制作したサイトもご相談いただけます。
関連記事：WordPressを更新しないとどうなる？放置で起きる問題と更新手順／PHPのバージョンアップ手順とサポート期限／Webサイトのセキュリティ対策：企業サイトを狙う7つの脅威と被害時の初動